Viele Unternehmen sind überzeugt, dass ihre E-Mail-Archivierung den gesetzlichen Anforderungen entspricht. Die erste Betriebsprüfung zeigt dann, ob das stimmt. Die GoBD (Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern, Aufzeichnungen und Unterlagen in elektronischer Form) stellen klare Anforderungen an E-Mail-Archivierungssysteme, die in der Praxis häufig nur teilweise erfüllt werden.

Diese Checkliste fasst die zehn wichtigsten Anforderungen der GoBD 2019 (zuletzt geändert im Juli 2025) sowie der §§ 147 AO und 257 HGB zusammen. Prüfen Sie jeden Punkt für Ihr aktuelles System und notieren Sie, welche Anforderungen noch offen sind.

Die 10 Punkte, die Ihr Archivsystem erfüllen muss

1. Vollständigkeit: Werden alle ein- und ausgehenden E-Mails erfasst?

Die GoBD verlangen, dass alle steuerlich relevanten Unterlagen vollständig und lückenlos aufbewahrt werden. Bei E-Mails bedeutet das: Das Archivsystem muss sämtliche eingehenden und ausgehenden Nachrichten aller Nutzer und Postfächer automatisch erfassen, ohne manuelle Eingriffe, ohne Ausnahmen und ohne die Möglichkeit, einzelne E-Mails vor der Archivierung herauszufiltern.

Eine Archivierung, die nur bestimmte Abteilungen oder ausgewählte Postfächer umfasst, ist keine vollständige Archivierung im Sinne der GoBD. Auch die Archivierung allein des Posteingangs genügt nicht: Versendete E-Mails unterliegen denselben Aufbewahrungspflichten wie empfangene.

Prüfen Sie: Werden wirklich alle Postfächer Ihres Unternehmens (einschließlich funktionaler Adressen wie info@ oder buchhaltung@) lückenlos archiviert?

2. Unveränderbarkeit: WORM oder vergleichbarer Schutz?

Archivierte E-Mails dürfen nach der Speicherung nicht mehr verändert, gelöscht oder überschrieben werden können. Die GoBD sprechen hier von der Anforderung der Unveränderbarkeit. In der Praxis wird dies durch WORM-Speicher (Write Once, Read Many), kryptografische Integritätsprüfungen oder vergleichbare technische Maßnahmen umgesetzt.

Eine einfache Ablage in einem Dateiordner, einem geteilten Laufwerk oder im Mailserver selbst erfüllt diese Anforderung nicht. Mitarbeiter oder Administratoren könnten E-Mails jederzeit verschieben, bearbeiten oder löschen. Das ist mit der GoBD nicht vereinbar.

Prüfen Sie: Kann eine archivierte E-Mail durch einen Administrator, einen Nutzer oder einen Systemprozess nachträglich verändert oder gelöscht werden?

3. Protokollierung: Existiert ein Audit-Trail für jeden Zugriff?

Die GoBD verlangen Nachvollziehbarkeit: Wer hat wann auf welche archivierten Unterlagen zugegriffen, sie exportiert oder Einstellungen am Archivsystem verändert? Ohne lückenlosen Audit-Trail können Sie im Prüfungsfall nicht nachweisen, dass das Archiv integer geblieben ist.

Der Audit-Trail muss selbst unveränderbar sein. Ein Protokoll, das nur im System des Administrators gespeichert ist und von diesem gelöscht werden kann, erfüllt diese Anforderung nicht.

Prüfen Sie: Protokolliert Ihr System jeden Zugriff auf archivierte E-Mails automatisch, und sind diese Protokolle vor nachträglichen Änderungen geschützt?

4. Originalformat: Werden E-Mails im Empfangsformat gespeichert?

Die GoBD schreiben vor, dass elektronische Unterlagen im Format aufbewahrt werden, in dem sie entstanden oder empfangen wurden (Originalformat-Pflicht). Für E-Mails bedeutet das: Header, Metadaten (Absender, Empfänger, Zeitstempel), Betreff, Textkörper und alle Anhänge müssen vollständig und unverändert gespeichert werden.

Systeme, die E-Mails in ein einheitliches Ausgabeformat (etwa nur als Plaintext oder als einfache PDF-Ansicht) konvertieren, verletzen die Originalformat-Pflicht. Dasselbe gilt für Systeme, die Anhänge vom E-Mail-Text trennen und separat speichern, ohne den Zusammenhang zu dokumentieren. Die 2. GoBD-Änderung vom Juli 2025 hat diese Anforderung explizit auf XML-basierte E-Rechnungen ausgedehnt: XRechnungen müssen als XML-Datei archiviert werden, nicht als selbst erstellte PDF-Ansicht.

Prüfen Sie: Bewahrt Ihr System E-Mails einschließlich aller Anhänge im Originalformat auf, oder findet vor der Archivierung eine Konvertierung statt?

5. Maschinelle Auswertbarkeit: Volltextsuche und strukturierter Export?

Archivierte E-Mails müssen während der gesamten Aufbewahrungsfrist maschinell auswertbar sein. Das bedeutet konkret: Das System muss eine Volltextsuche über alle archivierten Inhalte ermöglichen und in der Lage sein, Suchergebnisse in einem strukturierten, maschinell lesbaren Format zu exportieren.

Diese Anforderung folgt unmittelbar aus dem Datenzugriff nach § 147 Abs. 6 AO. Bei einer Betriebsprüfung kann die Finanzbehörde verlangen, dass bestimmte E-Mails zu einem Vorgang, einem Zeitraum oder einem Geschäftspartner zusammengestellt und übergeben werden. Ist das System nicht in der Lage, diese Anforderungen in angemessener Zeit zu erfüllen, riskieren Sie eine Schätzung durch das Finanzamt.

Prüfen Sie: Können Sie in Ihrem Archiv jederzeit nach Absender, Empfänger, Zeitraum und Suchbegriffen filtern und das Ergebnis in einem strukturierten Format exportieren?

6. Aufbewahrungsfristen: Automatische Retention Rules?

§ 147 AO und § 257 HGB legen fest, wie lange unterschiedliche Unterlagen aufbewahrt werden müssen. Nach der Änderung durch das Bürokratieentlastungsgesetz IV (BEG IV) gelten seit dem 1. Januar 2025 folgende Fristen:

Das Archivsystem muss diese Fristen automatisch verwalten. Eine manuelle Prüfung, welche E-Mails gelöscht werden dürfen und welche nicht, ist fehleranfällig und in der Praxis nicht zuverlässig umsetzbar. Konfigurierbare Retention Rules, die auf Basis von Metadaten automatisch die korrekte Frist anwenden, sind der GoBD-konforme Standard.

Prüfen Sie: Verwaltet Ihr System Aufbewahrungsfristen automatisch, und lassen sich die neuen Fristen nach BEG IV konfigurieren?

7. Löschkonzept: Automatische Löschung nach Fristablauf?

GoBD-konform zu archivieren bedeutet nicht nur, E-Mails lange genug aufzubewahren. Es bedeutet auch, sie nach Ablauf der Frist nachweisbar zu löschen. Ein Archiv, das Daten unbegrenzt aufbewahrt, stellt aus datenschutzrechtlicher Sicht (DSGVO, Art. 5 Abs. 1 lit. e) ein Problem dar. Gleichzeitig dürfen E-Mails nicht vor Ablauf der gesetzlichen Mindestfrist gelöscht werden.

Das Löschkonzept muss dokumentiert sein: Welche Fristen gelten für welche E-Mail-Kategorien, wann wird die automatische Löschung ausgelöst, und wie wird der Löschvorgang protokolliert? Diese Dokumentation ist Bestandteil der Verfahrensdokumentation (siehe Punkt 8) und wird bei Betriebsprüfungen und DSGVO-Audits geprüft.

Prüfen Sie: Löscht Ihr System E-Mails automatisch nach Fristablauf, und ist dieser Prozess dokumentiert und nachvollziehbar?

8. Verfahrensdokumentation: Vorhanden und aktuell?

Die GoBD verlangen für alle IT-gestützten Buchführungssysteme eine Verfahrensdokumentation. Sie beschreibt, wie das Archivsystem technisch funktioniert, welche organisatorischen Prozesse es einbettet, wer Zugriff hat, wie Aufbewahrungsfristen umgesetzt werden und wie der Datenzugriff für Prüfungszwecke gewährt werden kann.

Fehlt die Verfahrensdokumentation oder ist sie veraltet, kann das Finanzamt die formelle Ordnungsmäßigkeit der Buchführung in Frage stellen, mit der Konsequenz, dass eine Schätzungsbefugnis nach § 162 AO entstehen kann. Seit der 2. GoBD-Änderung 2025 muss die Verfahrensdokumentation auch den Umgang mit E-Rechnungen und Hybridformaten (ZUGFeRD) beschreiben.

Prüfen Sie: Haben Sie eine aktuelle Verfahrensdokumentation für Ihre E-Mail-Archivierung, die alle GoBD-Anforderungen abdeckt und den Stand nach Juli 2025 widerspiegelt?

9. Datenzugriff: Z1/Z2/Z3-fähig?

Die GoBD definieren drei Arten des Datenzugriffs, die Finanzbehörden bei einer Betriebsprüfung nutzen können:

Das BFH-Urteil XI R 15/23 vom April 2025 hat bestätigt, dass diese Zugriffsarten nun ausdrücklich auch für archivierte E-Mails gelten. Das Unternehmen kann die Zugriffsart wählen, muss aber in der Lage sein, mindestens eine der drei Varianten vollständig zu erfüllen. Ein Archivsystem, das keinen strukturierten Export ermöglicht, scheitert bereits an Z2.

Prüfen Sie: Unterstützt Ihr Archivsystem alle drei Zugriffsarten, und können Sie bei einer Betriebsprüfung kurzfristig einen vollständigen, maschinell auswertbaren Export für einen definierten Zeitraum erstellen?

10. Datenschutz: Betriebsvereinbarung und Zugriffsrechte?

Die E-Mail-Archivierung berührt unmittelbar das Datenschutzrecht und, sofern Mitarbeiter betroffen sind, das Mitbestimmungsrecht des Betriebsrats. Archivierte E-Mails können personenbezogene Daten von Mitarbeitern und Kunden enthalten. Ohne die richtige datenschutzrechtliche Grundlage verstößt die Archivierung gegen die DSGVO.

In der Praxis sind folgende Punkte zu klären: Gibt es eine Betriebsvereinbarung zur E-Mail-Archivierung (soweit ein Betriebsrat besteht)? Sind die Zugriffsrechte im System nach dem Prinzip der Datensparsamkeit konfiguriert, d.h. kann nur derjenige auf archivierte E-Mails zugreifen, der dies für seine Aufgabe benötigt? Ist die Archivierung im Verarbeitungsverzeichnis nach Art. 30 DSGVO dokumentiert?

Prüfen Sie: Haben Sie die datenschutzrechtliche Grundlage für die E-Mail-Archivierung schriftlich dokumentiert, und sind die Zugriffsrechte im System restriktiv konfiguriert?

Auswertung: Wo steht Ihr Unternehmen?

Zählen Sie die Punkte, die Sie mit "Ja, vollständig erfüllt" beantworten können:

0 bis 4 Punkte: Kritischer Handlungsbedarf

Ihr Archivsystem erfüllt grundlegende GoBD-Anforderungen nicht. Bei einer Betriebsprüfung riskieren Sie erhebliche Beanstandungen, im schlimmsten Fall eine Schätzung nach § 162 AO. Priorisieren Sie Unveränderbarkeit, Vollständigkeit und Protokollierung als erste Schritte.

5 bis 7 Punkte: Handlungsbedarf in definierten Bereichen

Ihr System hat eine solide Grundlage, aber es gibt konkrete Lücken. Identifizieren Sie die offenen Punkte und legen Sie fest, bis wann und durch wen diese geschlossen werden. Eine fehlende Verfahrensdokumentation oder fehlende Löschkonzepte lassen sich häufig mit überschaubarem Aufwand nachrüsten.

8 bis 10 Punkte: Gut aufgestellt

Ihr Archivsystem erfüllt die wesentlichen GoBD-Anforderungen. Prüfen Sie die verbleibenden offenen Punkte und halten Sie die Verfahrensdokumentation bei Systemänderungen oder neuen gesetzlichen Anforderungen aktuell.

Nächster Schritt: GoBD-Analyse mit EasyMailArchive

Wenn Sie nach dieser Checkliste Lücken in Ihrer aktuellen Archivierungslösung festgestellt haben, ist EasyMailArchive ein möglicher nächster Schritt. Das System ist darauf ausgelegt, alle zehn Punkte dieser Checkliste zu erfüllen: automatische und vollständige Archivierung aller Postfächer, tamper-proof storage für Unveränderbarkeit, lückenloser Audit-Trail, Originalformat-Speicherung einschließlich XML-Anhängen, Volltextsuche und strukturierter Export für Z1/Z2/Z3-Datenzugriffe, konfigurierbare Retention Rules nach den aktuellen Fristen sowie eine mitgelieferte Verfahrensdokumentation als Grundlage.

Sie können EasyMailArchive kostenlos testen und Ihr System direkt auf GoBD-Konformität konfigurieren.

Jetzt kostenlos testen oder Beratungsgespräch vereinbaren.

Rechtliche Grundlagen:

• GoBD (28. November 2019): BMF-Schreiben IV A 4 - S 0316/19/10003:001
• 1. Änderung GoBD (11. März 2024): Anpassungen zu § 158 AO und cloudbasierten Systemen
• 2. Änderung GoBD (14. Juli 2025): Klarstellungen zur E-Rechnung und Hybridformaten
• § 147 AO: Aufbewahrungsfristen, geändert durch das Bürokratieentlastungsgesetz IV (BEG IV) seit 1. Januar 2025
• § 257 HGB: Aufbewahrungspflichten für Kaufleute
• BFH-Urteil XI R 15/23 (30. April 2025): E-Mails als aufbewahrungspflichtige Geschäftsbriefe nach § 147 AO